Imagen para ayudar a comprender el artículo
Un ataque autónomo a partir de una orden sencilla
El Centro de Inteligencia de Seguridad de AhnLab (ASEC), vinculado a la compañía surcoreana de ciberseguridad AhnLab, puso a prueba ARTEX, un marco de código abierto diseñado para realizar pruebas de penetración de forma autónoma mediante inteligencia artificial. El experimento se desarrolló en un entorno simulado e independiente.
La instrucción proporcionada al sistema fue breve: debía infiltrarse en el objetivo y limitar el ataque a los equipos indicados. Sin información previa sobre los servicios disponibles ni sobre vulnerabilidades concretas, ARTEX encontró por sí mismo los puntos de entrada, comprometió un servidor web y llegó a ejecutar comandos remotos en cuatro equipos de una red interna, sin intervención humana durante el proceso.
En una de las pruebas, la herramienta detectó una falla en la función de carga de archivos de una página, subió una web shell —un programa que permite controlar un servidor a distancia— y ejecutó software arbitrario. En otro escenario, aprovechó la vulnerabilidad CVE-2023-46604 de Apache ActiveMQ para acceder primero a un servidor perimetral. Después examinó la red interna, identificó activos y cuentas, y completó un desplazamiento lateral entre cuatro equipos.
Una infraestructura distribuida en más de 900 direcciones IP
AhnLab también rastreó las características de las consolas web de ARTEX expuestas en internet y las direcciones utilizadas para alojarlas. Al día 14, la infraestructura relacionada superaba las 900 direcciones IP. La empresa analizó en detalle 600 IP públicas: el 53,7% estaba en Estados Unidos, el 19,8% en China, el 11,2% en Hong Kong y el 5,5% en Singapur. En conjunto, estos cuatro territorios concentraban alrededor del 90,2%.
En algunos servidores que alojaban ARTEX, los investigadores encontraron dos directorios abiertos y recuperaron 51 archivos, entre scripts y programas maliciosos, compatibles con Windows y Linux. El material incluía herramientas para enviar comandos mediante web shells, intermediar conexiones de escritorio remoto RDP y extraer credenciales de volcados de memoria.
También aparecieron resultados del escaneo de 85 sistemas activos en un entorno Kubernetes y scripts destinados a obtener datos de cuentas desde la memoria del sistema. Para AhnLab, estos hallazgos indican que ARTEX habría superado la fase de simple prueba de concepto y ya estaría siendo utilizado para preparar y ejecutar ataques reales.
Tres agentes de IA coordinan cada etapa
ARTEX combina un modelo de lenguaje de gran tamaño con una arquitectura de múltiples agentes. El sistema enlaza en tiempo real un gráfico de activos, que reúne información sobre los objetivos, y un gráfico de exploración, donde administra las metas y vulnerabilidades descubiertas.
Una vez definidos el objetivo y el alcance, tres agentes se reparten el trabajo. Goals organiza las metas; Planner analiza los resultados obtenidos y decide el siguiente paso; y Worker ejecuta las herramientas y explota las vulnerabilidades. Así, el sistema puede repetir de manera autónoma tareas de reconocimiento, búsqueda de fallas, diseño de rutas de ataque, ejecución y verificación.
AhnLab advierte sobre los límites de la detección tradicional
Durante las pruebas, los identificadores User-Agent dejados por ARTEX variaron según la función y la herramienta utilizada. El sistema también empleó métodos alternativos de comunicación para reducir sus rastros, mientras que un atacante podría modificar o eliminar esos identificadores.
La compañía surcoreana advirtió que buscar únicamente valores de cabecera, cadenas de red o nombres de herramientas ya no basta para detectar este tipo de operaciones. Según AhnLab, los agentes de IA pueden automatizar sin interrupciones todo el recorrido de un ataque, desde el reconocimiento de servicios y la obtención de privilegios hasta la penetración de una red interna.
Como respuesta, recomendó reducir los servicios innecesarios expuestos a internet, corregir con rapidez las vulnerabilidades y conectar las soluciones de detección y respuesta de los dispositivos con los registros de red y autenticación. El objetivo es identificar cuanto antes el flujo completo del ataque mediante una estrategia de detección y respuesta extendida.
Comentarios
Publicar un comentario